Los investigadores de ciberseguridad han descubierto que se podr\u00eda abusar de los puntos de entrada en m\u00faltiples ecosistemas de programaci\u00f3n como PyPI, npm, Ruby Gems, NuGet, Dart Pub y Rust Crates para organizar ataques a la cadena de suministro de software.<\/p>\n
“Los atacantes pueden aprovechar estos puntos de entrada para ejecutar c\u00f3digo malicioso cuando se ejecutan comandos espec\u00edficos, lo que representa un riesgo generalizado en el panorama del c\u00f3digo abierto”, dijeron los investigadores de Checkmarx Yehuda Gelb y Elad Rapaport en un informe<\/a> compartido con The Hacker News.<\/p>\n La empresa de seguridad de la cadena de suministro de software se\u00f1al\u00f3 que los ataques de punto de entrada ofrecen a los actores de amenazas un m\u00e9todo m\u00e1s astuto y persistente para comprometer los sistemas de una manera que pueda eludir las defensas de seguridad tradicionales.<\/p>\n Los puntos de entrada en un lenguaje de programaci\u00f3n como Python se refieren a un mecanismo de empaquetado que permite a los desarrolladores exponer cierta funcionalidad como un contenedor de l\u00ednea de comandos (tambi\u00e9n conocido como console_scripts). Alternativamente, tambi\u00e9n pueden servir para cargar complementos que aumenten las caracter\u00edsticas de un paquete.<\/p>\n Checkmarx se\u00f1al\u00f3 que si bien los puntos de entrada son una forma poderosa de mejorar la modularidad, se podr\u00eda abusar de la misma caracter\u00edstica para distribuir c\u00f3digo malicioso a usuarios desprevenidos. Algunas de las formas en que esto podr\u00eda suceder incluyen el secuestro de comandos y la creaci\u00f3n de complementos maliciosos para diversas herramientas y marcos.<\/p>\n El secuestro de comandos ocurre cuando los paquetes falsificados utilizan puntos de entrada que se hacen pasar por herramientas y comandos populares de terceros (por ejemplo, aws y docker), recopilando as\u00ed informaci\u00f3n confidencial cuando los desarrolladores instalan el paquete, incluso en los casos en que se distribuye como una rueda (.whl). archivo.<\/p>\n Algunos de los comandos de terceros m\u00e1s utilizados que podr\u00edan ser objetivos potenciales para el secuestro de comandos incluyen npm, pip, git, kubectl, terraform, gcloud, heroku y dotnet.<\/p>\n Un segundo tipo de secuestro de comandos tambi\u00e9n puede manifestarse cuando los actores de amenazas usan nombres de comandos leg\u00edtimos del sistema (por ejemplo, touch, curl, cd, ls y mkdir) como puntos de entrada para secuestrar el flujo de ejecuci\u00f3n.<\/p>\n “El \u00e9xito de este enfoque depende principalmente del orden de PATH”, se\u00f1alaron los investigadores. “Si el directorio que contiene los puntos de entrada maliciosos aparece antes en la RUTA que los directorios del sistema, el comando malicioso se ejecutar\u00e1 en lugar del comando del sistema. Es m\u00e1s probable que esto ocurra en entornos de desarrollo donde se priorizan los directorios de paquetes locales”.<\/p>\n Eso no es todo. Checkmarx descubri\u00f3 que la eficacia del secuestro de comandos se puede mejorar mediante una t\u00e1ctica m\u00e1s sigilosa llamada envoltura de comandos, que implica crear un punto de entrada que act\u00faa como envoltorio alrededor del comando original, en lugar de reemplazarlo por completo.<\/p>\n Lo que hace que este enfoque sea potente es que ejecuta silenciosamente el c\u00f3digo malicioso al mismo tiempo que invoca el comando leg\u00edtimo original y devuelve los resultados de la ejecuci\u00f3n, lo que le permite pasar desapercibido.<\/p>\n “Dado que el comando leg\u00edtimo a\u00fan se ejecuta y su resultado y comportamiento se conservan, no hay se\u00f1ales inmediatas de compromiso, lo que hace que el ataque sea extremadamente dif\u00edcil de detectar mediante el uso normal”, dijeron los investigadores. “Este enfoque sigiloso permite a los atacantes mantener el acceso a largo plazo y potencialmente filtrar informaci\u00f3n confidencial sin levantar sospechas”.<\/p>\n Otra t\u00e1ctica de ataque de punto de entrada implica la creaci\u00f3n de complementos y extensiones maliciosos para herramientas de desarrollo que tienen la capacidad de obtener un amplio acceso al c\u00f3digo base en s\u00ed, dando as\u00ed a los delincuentes la oportunidad de cambiar el comportamiento del programa o alterar el proceso de prueba para que parezca el c\u00f3digo. est\u00e1 funcionando seg\u00fan lo previsto.<\/p>\n “En el futuro, es crucial desarrollar medidas de seguridad integrales que tengan en cuenta la explotaci\u00f3n del punto de entrada”, dijeron los investigadores. “Al comprender y abordar estos riesgos, podemos trabajar hacia un entorno de empaquetado Python m\u00e1s seguro, protegiendo tanto a los desarrolladores individuales como a los sistemas empresariales contra ataques sofisticados a la cadena de suministro”.<\/p>\n El desarrollo se produce cuando Sonatype, en su informe anual sobre el estado de la cadena de suministro de software, revel\u00f3 que se han descubierto m\u00e1s de 512,847 paquetes maliciosos en ecosistemas de c\u00f3digo abierto para Java, JavaScript, Python y .NET desde noviembre de 2023, un a\u00f1o salto del 156%. -durante el a\u00f1o.<\/p>\n “Las herramientas de seguridad tradicionales a menudo no detectan estos nuevos ataques, lo que deja a los desarrolladores y a los entornos de construcci\u00f3n automatizados muy vulnerables”, afirma la empresa. dicho<\/a>. “Esto ha resultado en una nueva ola de ataques a la cadena de suministro de pr\u00f3xima generaci\u00f3n, que apuntan directamente a los desarrolladores, evitando las defensas existentes”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Los-ataques-a-la-cadena-de-suministro-pueden-explotar-los.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n